Opt-out EHDS en andere toezeggingen

Tweede Kamer der Staten-Generaal2Vergaderjaar 2024–202527 529Informatie- en Communicatietechnologie (ICT) inde ZorgNr. 332 BRIEF VAN DE MINISTER VAN VOLKSGEZONDHEID, WELZIJN ENSPORT Aan de Voorzitter van de Tweede Kamer der Staten-GeneraalDen Haag, 7 april 2025Om de zorg voor iedereen goed, toegankelijk en betaalbaar te houden, isde beweging ingezet van traditionele zorg naar passende (digitale enhybride) zorg, gezondheid en preventie. Digitalisering, gegevensuit-wisseling en databeschikbaarheid vervullen hierin een cruciale rol. Met deNationale Visie en Strategie (NVS) werken we aan databeschikbaarheid in2035 voor burgers, zorgverleners en de wetenschap. Eerder ontving u debrief «agenda van databeschikbaarheid in de zorg» waarmee ik u hieroverinformeerde.1De European Health Data Space-Verordening (EHDS) draagt bij aan beterezorg door betere databeschikbaarheid. Die elektronische uitwisseling isessentieel, en daarbij ook de zeggenschap die burgers over hun zorg- enpersoonsgegevens kunnen uitoefenen. De EHDS geeft burgers een aantalrechten waarmee zij die zeggenschap kunnen vormgeven. Heel belangrijkdaarbij zijn beperkingsrechten, zoals de «opt-out». In deze brief ga ik –zoals toegezegd tijdens het wetgevingsoverleg betreffende Verzamelwetgegevensverwerking VWS II.a van 27 januari 2025 – in op deze beper-kingsrechten en mijn visie daarop.Ik informeer u over de beperkingsrechten en de juridische, technische enpraktische haalbaarheid om die in Nederland te implementeren. Ik schetsde vervolgstappen voor een zorgvuldige implementatie. En ik doedrie andere toezeggingen uit het wetgevingsoverleg af.Hoe zeggenschap in de zorg nu geregeld?Bij zeggenschap van burgers in het kader van het beschikbaar stellen enhet uitwisselen van persoonlijke (elektronische) gezondheidsgegevens1Kamerstukken I 2024/2025, 27 529, nr. 325. kst-27529-332ISSN 0921 - 7371’s-Gravenhage 2025Tweede Kamer, vergaderjaar 2024–2025, 27 529, nr. 3321 voor primair gebruik en secundair gebruik, is op hoofdlijnen de volgenderegelgeving van toepassing:−AVG en Uitvoeringswet AVG: de Nederlandse implementatie van deEuropese Algemene Verordening Gegevensbescherming (AVG) waarinde grondslagen zijn opgenomen voor de verwerking van gegevens.−Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg(Wabvpz): hierin zijn regels opgenomen ten aanzien van het beschik-baar stellen en uitwisselen van gegevens via een zogenoemd«elektronisch uitwisselingssysteem». Met een «elektronisch uitwisse-lingssysteem» wordt gedoeld op «een systeem waarmee zorgaanbie-ders op elektronische wijze, dossiers, gedeelten van dossiers ofgegevens uit dossiers voor andere zorgaanbieders raadpleegbaarkunnen maken, zoals het Landelijk Schakelpunt (LSP).−Wet op de Geneeskundige Behandelingsovereenkomst (WGBO) en deWet Beroepen in de Individuele Gezondheidszorg (wet BIG): denationale wetgeving waarin o.a. het medisch beroepsgeheim isgeregeld. Hieronder wordt nader toegelicht wat het medisch beroeps-geheim inhoudt.Medisch beroepsgeheimDe informatie die je met je arts of therapeut deelt, moet vertrouwelijkblijven en mag niet worden gedeeld met andere personen die nietbetrokken zijn bij de behandeling. Dit heet het beroepsgeheim. InNederland is dat wettelijk vastgelegd.2 Het beroepsgeheim zorgt voor:−Onbelemmerde toegang tot de zorg: iedereen kan de hulp van eenzorgverlener inroepen, zonder de zorg dat hun informatie beschikbaarkomt bij anderen.−Beperken van zorgmijding: voorkomen dat mensen zorg mijden ofonvolledige informatie geven omdat ze niet willen dat de gegevensdoor anderen dan hun zorgverlener worden ingezien.Het beroepsgeheim is niet absoluut. Er zijn situaties waarin een arts hetberoepsgeheim mag of moet doorbreken en gegevens mag of moetdelen:1.Met toestemming van de patiënt;2.op basis van veronderstelde toestemming van de patiënt (bijvoorbeeldin acute zorg situaties);3.bij een wettelijke plicht (zoals bijvoorbeeld de meldplichten in de Wetpublieke gezondheid);4.bij een conflict van plichten (bijvoorbeeld een ernstig dreigend gevaarvoor anderen);5.of een zwaarwegend belang (voor bijvoorbeeld nabestaanden).Als wordt gewerkt met elektronische uitwisselingssystemen die degegevens al van tevoren beschikbaar stellen, gelden aanvullendewaarborgen ter bescherming van de privacy van de patiënt. Deze staan inWabvpz. Het vooraf beschikbaar stellen via een elektronisch uitwisselings-systeem door de zorgverlener vereist op dit moment altijd uitdrukkelijketoestemming van de patiënt.3 Op dit wettelijke vereiste van uitdrukkelijketoestemming bestaan géén uitzonderingen, het gaat hier strikt om eenopt-in. Dat betekent dat er geen toestemming is voor het delen vangegevens, tenzij de burger dit aangeeft.Het beroepsgeheim is er dus voor individuen, maar ook voor demaatschappij. Het richt zich daarbij op de relatie van patiënten metindividuele beroepsbeoefenaren.2Zie artikel 7:457 BW (WGBO), artikel 88 van de Wet BIG en 7.3.11 van de Jeugdwet.3Artikel 15a lid 1 Wabvpz.Tweede Kamer, vergaderjaar 2024–2025, 27 529, nr. 3322 Het medisch beroepsgeheim mag worden doorbroken als een wettelijkeplicht dit vereist of als de patiënt toestemming heeft gegeven. EHDS bevatzo’n wettelijke plicht. De EHDS zorgt daarmee voor een wijziging van hetmedisch beroepsgeheim zoals we dat nu in Nederland kennen.Kortom: een burger moet in veel gevallen toestemming geven voor het(individueel) uitwisselen van persoonsgegevens, en altijd als dit via eenelektronisch uitwisselingssysteem is. Dit geldt voor het delen vaninformatie tussen zorgverleners, bijvoorbeeld als iemand naar een anderziekenhuis gaat. Maar ook voor het delen van informatie met anderen,bijvoorbeeld met wetenschappers die onderzoek willen doen.Over de EHDSOp 5 maart van dit jaar is de EHDS gepubliceerd in het Publicatieblad vande Europese Unie. Deze verordening heeft drie hoofddoelen:1.Databeschikbaarheid voor primair gebruikDe EHDS zorgt voor bredere beschikbaarheid van gezondheidsgege-vens voor gebruik in het primair zorgproces. Daarbij krijgen burgerszeggenschap over gezondheidsgegevens en moeten zij hierin wordengefaciliteerd.2.Databeschikbaarheid voor secundair gebruikDe EHDS bevordert ook de beschikbaarheid van niet tot personenherleidbare gegevens voor secundaire doeleinden zoals onderzoek,beleid en innovatie.3.Regulering van de markt voor EPD-systemen.4Omdat de Tweede Kamer specifiek heeft gevraagd om een toelichting opopt-out-mogelijkheden bij de eerste twee doelen, zal ik mij in deze briefdaarop richten. Het derde doel wordt in een Kamerbrief na de zomerbeschreven.Doelstelling van VWSHet Ministerie van VWS zet zich in om Nederland gezond en vitaal tehouden. Daarvoor is het essentieel dat zorgverleners beschikken over dejuiste gegevens op de juiste plek om de meest passende zorg te kunnenverlenen. Daarin maakt de EHDS een grote slag. Ik juich deze ontwikkelingtoe. Vanuit Nederland zijn we al enkele jaren bezig om dit doel te bereiken,bijvoorbeeld via de Wegiz. De EHDS versnelt dit proces. Daarnaast kan hetvolksgezondheidsbeleid, door de beschikbaarheid van gegevens voorsecundair gebruik, meer effectief worden ontwikkeld.Ik zie echter ook dat de EHDS gevolgen heeft voor hoe we in Nederlandhet medisch beroepsgeheim hebben ingericht. Om de nadelige gevolgenhiervan te ondervangen zijn aanvullende stappen nodig in wetgeving.Hierop kom ik verder in deze brief op terug.Rechten voor zeggenschap over gegevensDe EHDS bevat diverse plichten voor zorgverleners om (persoons)ge-gevens van de patiënt toegankelijk te maken of te verstrekken aan derden,zoals andere zorgverleners. Tegelijkertijd geeft de EHDS burgers eenaantal beperkingsrechten waarmee zij zeggenschap over hun persoons-gegevens kunnen uitoefenen, omdat zij daarmee op individueel niveaukunnen verhinderen dat gezondheidsgegevens beschikbaar wordengesteld en uitgewisseld.4EPD staat voor elektronisch patiëntendossier.Tweede Kamer, vergaderjaar 2024–2025, 27 529, nr. 3323 Er zijn twee beperkingsrechten. Het eerste recht is het recht op opt-out,wat inhoudt dat betrokkenen kunnen verhinderen dat hun elektronischegezondheidsgegevens, in weerwil van de verplichting in de EHDS, door dezorgverlener beschikbaar worden gesteld voor andere zorgverleners. Hetopt-out recht resulteert er dus in dat gegevens alleen beschikbaar blijvenbij de zorgverlener waar je in behandeling bent en niet beschikbaar zijnvoor derden. Het tweede recht is het recht op toegangsbeperking vanzorgverleners. Dit recht geeft de mogelijkheid om beperkingen aan tebrengen wie welke gegevens kan inzien. Dit vereist dus een technischefunctionaliteit om regie te houden op de inzagemogelijkheid van jegegevens door zorgverleners. Omdat deze rechten nauw met elkaarsamenhangen en zij zich allebei richten op het beperken van toegang totgegevens, zal ik ze in deze brief ook in samenhang bekijken en aanduiden.Naar een nieuwe balans tussen privacy en efficiënt gegevensgebruikHet is van belang dat privacy van de burgers wordt beschermd. Wat in despreekkamer besproken wordt, moet in de spreekkamer blijven. De arts isdaar ook toe verplicht (medisch beroepsgeheim). Het is daarom belangrijkdat burgers voldoende zeggenschap hebben over hen betreffende(gezondheids-)gegevens.Naast het belang van bescherming van de privacy van burgers, is het ookvan belang dat de juiste gegevens op de juiste plek beschikbaar zijn(data-beschikbaarheid). Dit draagt bij aan het verlenen van betere ensnellere zorg aan patiënten. Zo kan ook efficiënter gewerkt worden enkunnen administratieve lasten verlaagd worden. Daarnaast helpt het inhet voorkomen van (medische) fouten doordat gegevens niet overge-nomen te hoeven worden van één systeem naar een ander systeem.Databeschikbaarheid kan daarnaast ook bijdragen aan wetenschappelijkonderzoek of de ontwikkeling van AI-oplossingen, die als hulpmiddelkunnen dienen tegen personeelstekorten in de zorg.Een van de doelen van de EHDS is om databeschikbaarheid voor hetleveren van zorg te verbeteren. Concreet betekent dit dat behandelendezorgverleners het recht krijgen om toegang te krijgen tot gegevens vanhun patiënt op een gestandaardiseerde manier. Dit zorgt ervoor dat dearts beschikt over de juiste en meest actuele gegevens, waardooronnodige behandelingen en onderzoeken kunnen worden voorkomen.Door nieuwe standaardisatieprocessen rondom toegang tot – en deregistratie van – gezondheidsgegevens neemt bovendien de registra-tiedruk voor zorgverleners af. De EHDS zal dus leiden tot lagere kosten enadministratieve lasten.Naast betere zorg heeft de EHDS ook andere voordelen voor patiënten.Door de nieuwe regels voor gegevensregistratie kan de burger eenvou-diger beschikken over diens eigen gezondheidsgegevens, doordat deze opeen centrale plek voor de burger inzichtelijk worden gemaakt. Daar kan hijdan bijvoorbeeld zien welke zorgverlener op welk moment bepaaldezorggegevens heeft opgevraagd. Op dit moment zijn deze gegevens inNederland nog decentraal beschikbaar.Ook onder de EHDS moeten zorgaanbieders het privacy-principe vandataminimalisatie blijven toepassen. Dat betekent dat zorgaanbiedersalleen de gegevens van de patiënt in mogen zien die specifiek nodig zijnvoor de behandeling.De komst van de EHDS wijzigt het medisch beroepsgeheim niet, hetfundamentele principe van vertrouwelijkheid blijft immers in stand. Welzal met de komst van de EHDS de grondslag voor het doorbreken van hetTweede Kamer, vergaderjaar 2024–2025, 27 529, nr. 3324 beroepsgeheim bij elektronische gegevensuitwisseling veranderen. Wegaan van een systeem van toestemming voordat gegevens elektronischuitgewisseld worden, de opt-in-systematiek, naar een systeem met eenwettelijke grondslag (de EHDS) die een opt-out-systematiek regelt. In dezenieuwe systematiek krijgt de zorgaanbieder ingevolge de EHDS dewettelijke verplichting om de digitale gezondheidsgegevens over zijncliënt elektronisch beschikbaar te stellen aan andere zorgaanbieders vandeze cliënt. De cliënt heeft vervolgens de mogelijkheid om dit middels zijnbeperkingsrechten, ook wel de opt-out-systematiek genoemd, tevoorkomen of hier grenzen aan te stellen. De opt-out-systematiek moetgelijke waarborgen bieden voor de burgers als de opt-in-systematiek.Het beroepsgeheim in de zorg is een fundamenteel principe dat zorgver-leners verplicht om medische en persoonlijke informatie van patiëntenvertrouwelijk te behandelen. Patiënten moeten namelijk openlijk kunnenspreken over hun gezondheidsproblemen zonder angst dat hun informatiebij derden terechtkomt. Zonder een sterke vertrouwensband tussenpatiënt en zorgverlener kan de kwaliteit van de zorg verminderen. In hetergste geval zou dat kunnen leiden tot zorgmijdend gedrag. De burger zal,ook na inwerkingtreding van de EHDS, dan ook de mogelijkheid krijgenom zijn beperkingswensen te registeren. Op welke wijze dit kan bespreekik hieronder.Beperkingsrechten bij primair gebruikDe EHDS biedt burgers twee beperkingsrechten: het recht op eenopt-out en het recht op toegangsbeperking.Recht op opt-out wordt in nationale wetgeving neergelegdOf EU-lidstaten het recht op opt-out voor hun eigen burgers mogelijkwillen maken, mogen ze zelf bepalen. Doen ze dit, dan moet dit recht innationale wetgeving worden neergelegd. Ik heb u in juli 2024 al latenweten dat ik hier voor kies.5Opt-out bij primair gebruikZorgaanbieders moeten toegang hebben tot de relevante en noodzakelijkpersoonlijke elektronische gezondheidsgegevens van burgers die zijbehandelen, ongeacht de lidstaat waar de zorgaanbieder gevestigd is ofwaar de behandeling plaatsvindt (art. 11 EHDS). Zorgverleners moetendus de in de EHDS genoemde (persoons)gegevens toegankelijk makenvoor andere zorgverleners. Op basis van de EHDS hebben burgers hetrecht om de toegang tot hun gezondheidsgegevens voor zorgaanbiederste beperken. Daarnaast hebben zij het recht om de uitwisseling van diegegevens met derden via de digitale toegangsdiensten tegen te houden(het recht op opt-out), indien en voor zover dat in nationale wetgeving isgeregeld. Zoals ik uw Kamer eerder heb laten weten, wil ik van demogelijkheid gebruikmaken om het opt-outrecht in nationale wetgeving teregelen.Zoeken naar balans tussen gebruiksvriendelijkheid en functionaliteitBij de implementatie van de opt-out moet goed worden gekeken naar detechnische, financiële en praktische haalbaarheid. Enerzijds is hetessentieel dat burgers eenvoudig hun voorkeuren kunnen aangeven enbegrijpen. Anderzijds vereisen complexe ICT-systemen veilige, toeganke-lijke en uniforme registraties, wat technische uitdagingen oplevert bij het5Kamerstukken II 2023/2024, 21 501-31, nr. 758.Tweede Kamer, vergaderjaar 2024–2025, 27 529, nr. 3325 vormgeven van de opt-out. Het vinden van een balans tussen gebruiks-vriendelijkheid en systeemfunctionaliteit is cruciaal, maar moeilijk, omdatflexibiliteit voor de burger niet altijd verenigbaar is met efficiëntegegevensverwerking.Onderzoek naar technisch en praktische haalbaarheid van de opt-outJuridisch gezien biedt de EHDS de ruimte om op verschillende gegevens-niveaus een opt-out toe te passen. Op welk dataniveau er onderscheid kanworden gemaakt moet echter nog worden onderzocht. In het vervolgon-derzoek zal ik kijken naar de technische, financiële en praktische mogelijk-heden van onderscheid op dataniveauHet is belangrijk dat de burger het heft in eigen handen kan nemenwaarbij het wel belangrijk is dat de gegevens ook voor de zorgverlenersbruikbaar blijven. Dit ga ik zorgvuldig uitzoeken en neem ik mee in deverdere uitwerking van de opt-out.Daarnaast moet het voor burgers eenvoudig en voldoende begrijpelijk zijnom bezwaar te registreren. Dit betekent een balans vinden in genoegkeuzes voor de burger om het recht naar eigens wens te kunnen invullen,maar niet te ingewikkeld waardoor de consequenties van keuzes niet meerte overzien zijn. Ik wil het mogelijk maken dat de burger hier volvertrouwen een overwogen en bewuste keuze in kan maken. Het risico inde balans tussen genoeg keuzemogelijkheden en voldoende begrijpelijkwordt ook door de Autoriteit Persoonsgegevens gezien.6Ook hecht ik veel waarde aan het vertrouwen van de burger in hetzorgsysteem als zijn privacy. De burger moet er zeker van zijn datgegevens veilig worden verwerkt. Als dit vertrouwen hoog is, dan zal hijzijn beperkingsmogelijkheden proportioneel inzetten. Dit is goed voor zijnzorgverlener, maar ook bevorderlijk voor zijn zorgbehandeling. Om ditvertrouwen hoog te houden wil ik er daarom voor zorgen dat bij deimplementatie van de beperkingsrechten de stem van de patiënt, en zijndoenvermogen, actief wordt meegenomen.Daarom ga ik de komende periode met veldpartijen, zorgverleners enpatiëntorganisaties in gesprek om te kijken wat de technische enpraktische haalbaarheid is van de opt-out. Bij dit onderzoek is dezorgvuldige uitvoering van een mogelijke gelaagdheid een kernvraag.Daarbij wordt ook gekeken of het mogelijk is om de burger de keuze tegeven om in acute zorgsituaties zijn gegevens wel beschikbaar te stellen.Verder wordt tijdens dit onderzoek onderzocht welke gevolgen de inzetvan het opt-out-recht heeft voor de concernonderdelen van de overheid.Daarbij gaat het niet alleen om de onderdelen die vallen onder dereikwijdte van de EHDS (bijvoorbeeld bij het Rijksvaccinatieprogramma),maar ook de overdracht van gegevens vanuit de curatieve zorg naarWmo-zorg.Het recht op toegangsbeperking voor zorgverlenersHet recht op toegangsbeperking kan worden ingeroepen tegen de eigenzorgverlener. Dit betekent dat een zorgverlener niet in kennis wordtgesteld van de gegevens waarvoor de beperking geldt. Dat kan dus ook debehandelende zorgverlener zijn. Ik ga onderzoeken hoe dit vormgegevenkan worden zodat de burger haar rechten kan uitoefenen.6Position paper EHDS, Autoriteit Persoonsgegevens, 12 maart 2025.Tweede Kamer, vergaderjaar 2024–2025, 27 529, nr. 3326 Van ‘grip door de patiënt’ naar ‘grip door de burger’Vanuit VWS zijn trajecten gestart om de patiënt meer mogelijkhedente geven om regie te kunnen voeren op zijn persoonsgegevens.Nu kan de patiënt via volgjezorg.nl zien welke zorgverlener toegangheeft gekregen tot zijn persoonsgegevens. En via de centralevoorziening Mitz kan toestemming worden geregistreerd voor hetelektronisch delen van gegevens tussen zorgverleners. Verder kan depatiënt – op grond van huidige wetgeving – zijn zorgverlener vragenom bepaalde medische gegevens niet te delen met andere zorgver-leners. Hier moet gehoor aan worden gegeven, tenzij er zwaarwe-gende redenen zijn om dit niet te doen, bijvoorbeeld voor hetdeclareren van de behandeling.Onder de EHDS kan de burger al vóór en ná de behandeling zijnrechten inzetten om te bepalen welke gegevensvoor wiebeschikbaarworden gesteld. Deze beperkingskeuzes kunnen bij een publiekedigitale voorziening worden geregistreerd.Beperkingsrechten bij het secundair gebruikVoordelen van databeschikbaarheid voor secundair gebruikIn de EHDS staat dat bepaalde datagebruikers – zoals onderzoekers enbeleidsmakers – gebruik kunnen maken van gegevens die iets zeggenover algemene of individuele gezondheid. Deze gegevens worden dan, naeen strenge vergunningsprocedure en niet-herleidbaar tot individuen,beschikbaar gesteld aan deze datagebruikers.Deze nieuwe werkwijze biedt kansen voor de Nederlandse gezond-heidszorg. Ik ondersteun om die reden dan ook het nut en de noodzaakvan deze ontwikkeling. Door toegang tot gezondheidsgegevens kunnen(zorg)innovaties – zoals de toepassing van AI in de zorg – een impulskrijgen. Dit kan niet alleen bijdragen aan betere zorg, maar ook aanminder administratieve lasten voor zorgverleners. De voordelen zittenbijvoorbeeld in de schaalgrootte die mogelijk is door in de verschillendelidstaten via een vergelijkbare procedure data aan te kunnen vragen.Grotere datasets bieden betere mogelijkheden voor onderzoeken en zekerook voor de mogelijkheden om AI goed te trainen en ontwikkelen. Deze AIkan dan bijvoorbeeld weer ingezet worden om administratieve taken overte nemen van zorgverleners. Daarnaast kan de overheid bijvoorbeeld debeschikbare data gebruiken om gerichter beleid te maken. Dit leidt toteffectiever zorgbeleid en zorgt dat publiek geld voor gezondheidszorgefficiënter kan worden besteed.Opt-out bij secundair gebruikBurgers kunnen rechtstreeks een beroep doen op het EHDS-opt-out-rechtbij secundair gebruik. De manier waarop burgers dit recht feitelijk kunnenuitoefenen moet wel worden uitgewerkt. De geregistreerde opt-out metbetrekking tot het beschikbaar stellen van elektronische gezondheidsge-gevens voor secundair gebruik geldt in beginsel voor alle in de EHDSgenoemde gegevens die voor dat doel kunnen worden gebruikt. Lidstatenmogen daarnaast regels maken voor aanvullende waarborgen bijspecifiek gevoelige gegevens.Tweede Kamer, vergaderjaar 2024–2025, 27 529, nr. 3327 Aanvullende waarborgen voor specifiek gevoelige gegevensDe EHDS maakt het verder mogelijk om bij de beschikbaarstelling vanspecifiek gevoelige gezondheidsgegevens aanvullende waarborgen testellen. Dat kan bij:•Genetische gegevens•Biobankgegevens•Gegevens uit wellness-appsWat er wordt bedoeld met «aanvullende waarborgen» kan op verschil-lende manieren worden geïnterpreteerd. Zo zegt de EHDS niets over demogelijkheid om gelaagdheid aan te brengen op gegevensniveau ofonderzoeksdoel. Dat betekent echter ook niet dat de verordening dat niéttoelaat. Op dit moment doe ik verder onderzoek over hoe deze «aanvul-lende waarborgen» kunnen worden geïnterpreteerd op een wijze die inlijn is met de EHDS. Bij dit onderzoek kijk ik ook naar de mogelijkheid ofeen selectieve opt-out mogelijk is. Dit geldt dan mogelijk voor bepaaldespecifieke gezondheidgegevens of gegevens die worden gebruikt in hetpublieke belang (bijvoorbeeld bij de bestrijding van een levensbedrei-gende infectieziekte of bij onderzoek naar zeer zeldzame aandoeningen).Ook kijk ik of het mogelijk is om toestemming te vragen voor hetverwerken van deze specifieke zeer gevoelige gegevens.Bij dit onderzoek wordt ook gekeken naar de technische, financiële enpraktische haalbaarheid van deze aanvullende waarborgen in combinatiemet de beperkingsrechten. Voor DNA-gegevens en biobankgegevens is nual duidelijk welke uitgangspunten ik belangrijk vind. Hieronder ga ik daarverder op in.Burger mag geen nadeel ondervinden van hergebruik DNA-gegevensSommige genetische gegevens zijn bijzonder en het is belangrijk om dezegoed te beschermen en zeggenschap van burgers te waarborgen. In deNederlandse (gezondheids)onderzoekspraktijk wordt dit momenteel ookzo gezien. De gedragscode Gezondheidsonderzoek van COREON wordthier uitgebreid op ingegaan.7 Daarin wordt «onderzoek met gegevens dieintrinsiek herleidbaar worden geacht, zoals bij «whole genomesequencing», en waarbij deze gegevens breder worden gedeeld danbinnen de onderzoekinstelling», aangemerkt als onderzoek met bijzondereprivacyrisico’s of consequenties voor de donor. Hiervoor is volgens debestaande gedragscode in beginsel apart toestemming voor nodig.Onder genetische gegevens valt ook data die van zichzelf al te weiniginformatie bevat om herleidbaar te zijn tot individuen. Zo is bij de analysevan bijvoorbeeld alleen een kankercel het risico op herleidbaarheidbeperkt. En dat terwijl zulke gegevens steeds belangrijker worden voorwetenschappelijk onderzoek. Ik zie daarom de voordelen van hergebruikvan dit soort gegevens, maar vind ook dat deze voordelen niet mogendoorslaan in het nadeel van de burger.Mijn ambtsvoorganger heeft aan u gemeld dat er vanwege de maatschap-pelijke perspectieven en publieke waarden rondom DNA-technologie,samen met burgers en professionals overheidsbeleid hierover moetworden ontwikkeld.8 In opdracht van ZonMW is in 2024 advies uitgebrachtover hoe deze partijen bij dit beleidsproces betrokken kunnen worden.97Gedragscode gezondheidsonderzoek, COREON, januari 2022, paragraaf 4.4.3, p. 57.8Kamerstukken II, 2023/2024, 32 793, nr. 703.9Publieke waarden en perspectieven ten aanzien van DNA-technologie voor zorg en preventie,Schuttelaar & Partners, i.o.v. ZonMw, Den Haag, september 2024.Tweede Kamer, vergaderjaar 2024–2025, 27 529, nr. 3328 Deze adviezen worden meegenomen in de gesprekken die ik wil doen metveldpartijen, zorgverleners en patiëntorganisaties.Tijdens het wetgevingsoverleg rond Verzamelwet IIa stelde uw Kamer eenaantal vragen waarop ik toezegde later uitgebreider terug te komen. Hetging om vragen rond de verantwoordelijkheidsverdeling en invulling vande beveiliging van patiëntgegevens, autorisatievraagstukken door meerpersonen en Vektis en de beveiliging.CybersecurityBij deze ga ik in op de toezegging om meer uitleg te geven over informa-tiebeveiliging binnen de context van gegevensverwerking en welkeondersteuning ik op dit vlak aan zorgaanbieders biedt.Goede informatiebeveiliging in de zorg is ontzettend belangrijk omdat hethier gaat over het beschermen van patiëntgegevens en de continuïteit vanzorg. De verantwoordelijkheid hiervoor ligt primair bij zorgaanbieders.Deze aanbieders richten naar aard van organisatie/zorgprocessen en hunmogelijkheden deze beveiliging op verschillen de manieren in. Hier geldtdat maatwerk de norm is. In de aanpak van dit maatwerk zijn er echter welzorgbrede elementen te onderscheiden. De aanpak is genormeerd in deNEN 7510. De NEN-7510 schrijft onder andere voor dat zorginstellingen derisico’s voor informatiebeveiliging in kaart brengen en hiervoor passendemaatregelen nemen. De norm vereist ook beheersmaatregelen voor debescherming van netwerken, bedrijfscontinuïteit en bereikbaarheid. DeIGJ ziet toe op naleving van de NEN-7510 norm.Ik bied op verschillende manieren ondersteuning om de zorg digitaalweerbaarder te maken Ten eerste ondersteun ik financieel het cyberse-curity expertisecentrum in de zorg, Z-CERT. Z-CERT voorziet zorgaan-bieders van advies en dreigingsinformatie, en kan tevens netwerkenmonitoren op kwetsbaarheden of verdachte activiteiten. In het geval vaneen incident kan Z-CERT een zorgaanbieder ondersteunen bij hetverhelpen van de gevolgen van een cyberaanval. Ik stuur aan op hetbeheerst groeien en verbreden van Z-CERT door aansluiting van meerzorginstellingen en uitbreiding van het dienstenaanbod. Ik zet ook in opmeer bewustwording van de cyberrisico’s in de zorg met het ActieplanInformatieveilig Gedrag. Driekwart van de datalekken in de zorg kentimmers een gedragscomponent.Daarnaast werk ik aan de doorontwikkeling van (wettelijke verplichte)informatiebeveiligingsnormen in de zorg, waaronder de genoemde basisnorm NEN7510 en de daaruit voortvloeiende normen voor gegevensuit-wisseling (NEN7512) en logging (NEN7513). Momenteel wordt deEuropese NIS2-richtlijn geïmplementeerd in de Cyberbeveiligingswet.Deze richtlijn heeft tot doel om de digitale weerbaarheid van essentiële enbelangrijke entiteiten, waaronder de organisaties in de zorg, naar eenhoger gemeenschappelijk niveau te brengen. Zorginstellingen krijgenonder Cbw een zorgplicht, wat betekent dat zij aan moeten tonen dat huninformatie- en veiligheidssystemen goed functioneren en dat ze maatre-gelen nemen om risico’s op digitale aanvallen te verkleinen. Daarnaastgaat er een meldingsplicht gelden voor ernstige cyberincidenten.Expertisecentrum Z-CERT krijgt onder de Cbw een wettelijke taak en meermiddelen om zorgorganisaties te ondersteunen en monitoren.Ten slotte zet ik in op versterking van toezicht en handhaving door de IGJ.De IGJ houdt toezicht op informatiebeveiliging bij zorgaanbieders en gaatdaarbij uit van de eerdergenoemde wettelijk verplichte NEN-norm 7510.De IGJ voert steekproefsgewijs controles uit op naleving van de norm.Tweede Kamer, vergaderjaar 2024–2025, 27 529, nr. 3329 Uit inspectiebezoeken in voorgaande jaren blijkt dat in diverse zorgsec-toren de naleving van de NEN7510 te wensen overlaat. Ik vind ditzorgelijk. De IGJ heeft hierover diverse keren in factsheets naar het veldgecommuniceerd10. Uit de toezichtsresultaten blijkt dat niet alle zorgaan-bieders die zij hebben bezocht – zoals de ziekenhuizen, ZBC’s/particuliereklinieken en aanbieders in de gehandicaptenzorg – aantoonbaar voldoenaan de NEN7510. De IGJ ziet vaak een combinatie aan oorzaken waaropde naleving tekort schiet. Voorbeelden hiervan zijn het ontbreken vanvoldoende bewustzijn op het onderwerp informatiebeveiliging en hetgebrek aan prioritering van voldoende middelen (tijd, geld en expertise)voor het onderwerp. Wanneer de naleving op de NEN7510 te wensenoverlaat, vraagt de IGJ om verbeterplannen met termijnen. Ziekenhuizenhebben tijdens dit verbetertraject een flinke inhaalslag gemaakt. Eind 2023is gecommuniceerd dat het merendeel voldoen aan de NEN7510.11Om zorginstellingen te ondersteunen bij het voldoen aan de NEN7510norm, heb ik de NEN opdracht gegeven implementatietools te ontwik-kelen. De implementatiehandvatten, zoals bijvoorbeeld een e-learning terintroductie, worden in 2025 kosteloos beschikbaar gesteld. De tools zijnnuttig voor zowel organisaties die voor het eerst de NEN7510 implemen-teren als voor organisaties die NEN7510 al hebben geïmplementeerd enmoeten overstappen op de nieuwe versie van de genoemde norm.Autorisatie van behandelteams voor het verwerken vangezondheidsgegevensHet lid Tielen beschreef tijdens het wetgevingsdebat dat zij tijdenswerkbezoeken vaak hoort van zorgprofessionals en onderzoekers datgegevens voor zowel wetenschappelijk onderzoek alsook voor patiëntge-richte diagnostiek en behandeling makkelijker beschikbaar zouden moetenzijn. De huidige wetten en regels zouden dit verhinderen. Een verpleeg-kundig specialist die zelf grafiekjes moest maken ten behoeve van debehandeling en spiegelinformatie, en dit niet door de doktersassistenteliet doen omdat dan heel vaak toestemming gevraagd moet worden. Hetlid Tielen vroeg zich hierbij af in een soort brainstormidee af of een soortteamlicentie mogelijk zou zijn, zodat een behandelteam met de data aande slag kan gaan. Hieronder geef ik mijn reactie hierop.Het recht laat meer ruimte toe om zorggegevens te verwerken dan uitbovenstaand situatieschets. Ter verduidelijking van het juridische kaderrondom de verwerking van gezondheidsgegevens in de zorg leg ik uitwaar rechtmatige gegevensverwerking in de zorg aan moet voldoen, alser geen sprake is van uitdrukkelijke toestemming.Autorisatie bij primair gebruikZorgaanbieders mogen gezondheidsgegevens verwerken als dat nodig isvoor de zorgverlening aan patiënten, maar ook voor het beheer van deinstelling, bijvoorbeeld de financiële administratie van de zorgverleningen interne kwaliteitsborging (artikel 9, tweede lid onder J AVG, anderuitgewerkt onder artikel 30, derde lid, onder A UAVG). Zorgaanbiedersmogen gezondheidsgegevens verwerken als dat nodig is voor deuitvoering van de geneeskundige behandelingsovereenkomst die zij metde patiënt hebben (art. 6 lid 1 onder b AVG). Dat geldt ook voor de10Zie Onderwerpen I E-health I Inspectie Gezondheidszorg en Jeugd (ioi.n1); sectoren: zieken-huizen, zelfstandige klinieken, ggz, gehandicaptenzorg, verpleeghuiszorg, thuiszorg, eerste-lijnszorg, jeugd.11Ziekenhuizen maken stevige inhaalslag met informatiebeveiliging | Publicatie | InspectieGezondheidszorg en Jeugd.Tweede Kamer, vergaderjaar 2024–2025, 27 529, nr. 33210 medewerkers die rechtstreeks bij dezelfde behandelovereenkomst zijnbetrokken.Ook de invulling van het medisch beroepsgeheim wordt als drempelervaren bij het delen van gegevens. Het medisch beroepsgeheim inNederland gaat ervan uit dat de medische beroepsbeoefenaar geengezondheidsgegevens aan derden mag geven, tenzij de betrokken patiëntdaar toestemming voor heeft gegeven. Dit geldt niet voor anderen dierechtstreeks bij de behandeling zijn betrokkenen, zoals doktersassistenten(artikel 7:457 BW (onderdeel van de WGBO)).In aanvulling hierop moeten zorgaanbieders organisatorische entechnische maatregelen treffen ter beveiliging en bescherming vanpersoonsgegevens. Zorgaanbieders moeten in dat kader voldoen aaninformatiebeveiligingsnormen, zoals in het bijzonder de NEN7510.Onderdeel daarvan is dat wordt gewaarborgd dat alleen die medewerkerstoegang tot medische dossiers krijgen als dat nodig is voor de behan-deling van de patiënt. Dat moet gebeuren door middel van een autorisa-tiebeleid en logging (inclusief de controle op logging). Autorisatie entoegangsverlening kan plaatsvinden op het niveau van functie of rol vande medewerker.Kortom, in het voorbeeld van het lid Tielen is het alleszins acceptabel datde desbetreffende assistente (als onderdeel van het behandelteam)zonder toestemming van de patiënt toegang heeft tot de relevantegegevens, voor zover dat nodig is voor de behandeling van de patiënt ofhet monitoren van de kwaliteit van de zorgverlening.Autorisatie bij Secundair gebruikOnderzoekers en andere secundaire datagebruikers krijgen niet zomaartoegang tot gezondheidsgegevens. Voordat toegang gegeven wordt toteen dataset vindt in de meeste gevallen een beoordelingsprocedure vande betrokken instellingen en/of dataverstrekkers plaats. Bij deze beoor-deling wordt onder andere gekeken naar de juridische grondslagen, deopzet van de verwerking en de informatiebeveiliging. De procedures diedaarvoor gebruikt worden zijn niet altijd gelijk. Voor WMO-plichtigonderzoek is bijvoorbeeld medisch-ethische toetsing door een erkendemedisch-ethische toetsingscommissie (METC) verplicht. Voor nietWMO-plichtig onderzoek geldt deze verplichting niet.Bij secundair gebruik met gezondheidsgegevens dient in de meestegevallen ook een gegevensbeschermingseffectbeoordeling (DataProtection Impact Assessment, DPIA) plaats te vinden. In de DPIA wordtonder andere vastgelegd welke gegevens worden verwerkt, voor welkdoel deze worden verwerkt, welke juridische grondslagen van toepassingzijn, in hoeverre de verwerking noodzakelijk en proportioneel is, of erminder ingrijpende alternatieven zijn, wat de risico’s zijn en hoe dezerisico beheerst kunnen worden.Wanneer uit de beoordelingsprocedures en DPIA blijkt dat de gegevensveilig verwerkt kunnen worden, worden gegevens beschikbaar gemaaktvoor secundair gebruik. Daarbij is het uiteraard zaak dat alleen onder-zoekers en onderzoeksondersteuners (zoals datamanagers en ICT-ers) dienoodzakelijkerwijs betrokken zijn bij de gegevensverwerking toegangkrijgen tot de gegevens. Personen die ondersteunende rollen hebben tenaanzien van het secundair gebruik kunnen dus onder voorwaardentoegang krijgen. Daarbij is het wel belangrijk dat waarborgen metbetrekking tot bijvoorbeeld geheimhouding zijn vastgelegd. Het is deverantwoordelijkheid van de gegevensverwerker om rollen en toegangs-Tweede Kamer, vergaderjaar 2024–2025, 27 529, nr. 33211 rechten toe te wijzen. De gedragscode gezondheidsonderzoek vanCoreon12 staat hoe instellingen de toegangsbeveiliging kunnen invullen.Daarbij wordt geadviseerd om zoveel mogelijk aan te sluiten bij de eerdergenoemde NEN norm omtrent gegevens, NEN7510.Het is voor het zorgveld van belang dat zij het juridisch kader op eengoede wijze interpreteren. Veel van de veronderstelde juridische belem-meringen komen voort uit een onjuiste interpretatie van de regels. Ik hoopmet mijn beantwoorden een deel van de onduidelijkheid weg te kunnennemen. Op dit moment voorzie ik dus geen directe aanleiding omwetgeving te wijzigen.VektisHierbij kom ik terug op mijn toezegging tijdens het wetgevingsoverlegVerzamelwet gegevensverwerking VWS II.a13 om in te gaan op deondergrens van tien patiënten en cliënten bij de verwerking van gegevensdoor Vektis.14Vektis geeft aan geen rapporten op te stellen met gegevens die direct ofindirect naar personen te herleiden zijn en zegt altijd te controleren oppotentiële herleidbaarheid, rekening houdend met de aard van deinformatie. Vektis streeft naar de balans tussen zo min mogelijk informa-tieverlies (groepen in beeld brengen) en tegelijk het waarborgen van hunanonimiteit. Vektis heeft de ervaring dat deze balans in de regel ligt bij eenondergrens van 10 personen. Als uitgangspunt neemt Vektis in rappor-tages dan ook geen gegevens op die betrekking hebben op minder dan10 personen. Daarbij maakt Vektis onderscheid tussen «nul personen» en«weinig personen» (minder dan 10). Vektis rapporteert zodoende of ersprake is van 0 personen, minder dan 10 personen, of 10 of meerpersonen, waarbij alleen in het laatste geval een getal wordt weerge-geven. Over een (sub)groep kleiner dan 10 personen doet Vektis geennadere uitspraken.Tot slotElektronische gegevensuitwisseling en databeschikbaarheid blijven eencomplex vraagstuk. De Nationale visie en strategie wijst het zorgveldhierbij de weg en werkende landelijke oplossingen komen steedsdichterbij. Toch kost dit proces tijd.We doen er alles aan om tot een goede, vlotte, maar ook zorgvuldige enveilige implementatie van gegevensuitwisseling te komen.De Minister van Volksgezondheid, Welzijn en Sport,M-F. Agema12Coreon, Commissie Regelgeving Onderzoek, Gedragscode gezondheidsonderzoek, januari202213Kamerstukken II 2024/25, 36 579, nr. 11.14Zorgverzekeraars en Wlz-uitvoerders zijn verwerkingsverantwoordelijken voor de verzekerden-en declaratiegegevens waarover zij beschikken. Vektis treedt namens en in opdracht vanzorgverzekeraars en Wlz – uitvoerders op als verwerker van deze gegevens voor de uitvoeringvan een aantal (wettelijke) taken.Tweede Kamer, vergaderjaar 2024–2025, 27 529, nr. 33212